What are Industry-Specific Regulations?

業界固有の規制は、医療や金融などの特定のセクターに適用されます。主な目的は機密データを保護することです。法律は業界の要件によって異なります。

• HIPAA (Health Insurance Portability and Accountability Act): Healthcare industry-specific; designed for patient health data protection. 
• PCI DSS (Payment Card Industry Data Security Standard): Finance industry; designed for cardholder data protection during transactions.
• GDPR (General Data Protection Regulation): Applicable to all EU member states and governs data collection and processing. Also applies to the non-EU members of the EEA (Norway, Iceland, and Liechtenstein).

Regulatory compliance is a guideline for your security frameworks. You should comply with regulatory requirements for cybersecurity by implementing security controls and thinking about your policies. 

It’s vital that you comply with regulations to avoid cybersecurity threats, such as data breaches, and subsequently avoid the financial and reputational implications.

• HIPAA: For the healthcare industry and focuses on protecting patient health information, with privacy and confidentiality being the two core aspects. 
• PCI DSS: Financial industry regulation that requires providers to secure cardholder data during transactions; you need it to prevent fraud and for data security. This rule applies to all entities that handle cardholder data.

業界やビジネスモデルに適用される内容に焦点を当てるために、この 2 つの違いを理解しましょう。

SaaS の HIPAA コンプライアンスには、クラウドベースのアプリケーションでの PHI データの処理と保存が含まれます。これには以下が含まれます。

• データ暗号化
• アクセス制御
• 監査証跡
• 顧客とのビジネスアソシエイト契約

SaaSプロバイダーのカスタマイズ機能を確認し、必要なセキュリティ対策を実施することから始めることができます。

PCI-DSSは、支払いカード情報を処理する際には安全な環境を維持することを義務付けており、その目的は不正行為を防止することです。この規制はクレジットカード会社によって作成され、以下を行う必要があります。

• ネットワークを保護する： 保存されたデータを保護し、デフォルト設定を変更します。また、ファイアウォールをインストールする必要があります。 
• Protect cardholder data: Encrypt data transmission during the transfer process and ensure that no sensitive data is stored; doing otherwise is against the rules.
• Maintain security: Use antivirus software and keep your systems and apps updated. 
• Control access: Set user access parameters and assign unique IDs to each person within the cloud. 
• Monitoring and testing: Test your security measures and track access to avoid breaches.
• セキュリティポリシー： セキュリティポリシーを作成し、頻繁に見直して変更を加えてください。

SaaS GDPR コンプライアンスのための次の手順に従ってください。 

• 最小化：必要な個人データを収集し、必要な期間のみ保存します。

• 同意: データを収集または処理する前に、ユーザーから明示的な同意を得ます。 
• データ主体権: 個人に自分のデータへのアクセス権を与え、必要に応じて修正および削除できるようにします。 
• 設計段階でのデータ保護: 製品設計段階を通じてプライバシーを考慮します。 
• Data breach notification: Report all breaches within 72 hours and implement measures to minimize its effects. 

Regardless of where in the EU you operate, GDPR is mandatory. Neighboring countries, such as the UK and Switzerland, have their own laws to comply with too.

覚えておきましょう： 

Compliance is an ongoing process, and you should regularly review your security measures.